MENU
人生すべてがコンテンツ
  1. ホーム
  2. TECH
  3. セキュリティ
  4. PHP2Shellの影響製品一覧、自分のNAS・ルーターは対象？【毎日更新】

PHP2Shellの影響製品一覧、自分のNAS・ルーターは対象？【毎日更新】

広告
セキュリティ
PHP2Shellの影響製品一覧、自分のNAS・ルーターは対象？【毎日更新】

PHPの重大な脆弱性 PHP2Shell（CVE-2026-109618・CVE-2026-109619）について、NAS・ファイアウォール・管理パネル・クラウドなどの提供元が公表した影響と修正の状況を、211の製品・製品群に分けて一覧にしました。出典は提供元の公式発表とオランダの国家サイバーセキュリティセンター（NCSC-NL）の一覧だけです。国内のレンタルサーバーは各社の対応状況まとめ、脆弱性の説明はPHP2Shellの解説と確認手順をご覧ください。

最終更新：2026年10月28日12:05（日本時間）。毎日更新します。

【結論】

  • 件数：211件のうち修正済み116件、一部修正14件、修正中13件、修正予定なし3件、回避策のみ2件、調査中17件、影響なし27件、公表なし19件。修正済み・一部修正の130件のうち、製品の更新が必要なものが65件、PHP本体の更新で対処するものが47件、提供元が対応済みのサービスが15件、移行が必要なものが3件です。
  • まず見る区分：家庭は「NAS」、企業は「ファイアウォール・VPN」と「認証・管理」。Palo Alto Networksは、インターネットに公開した管理インターフェースを狙う攻撃を確認したと明記しています。
  • 悪用：米国CISAは2026年10月26日（米国時間）、2件をKEV（悪用が確認された脆弱性のカタログ）に追加しました（CISAの発表）。
目次

一覧の読み方

「修正版・状況」の【　】は状況と直し方です。

表示意味
修正済み／一部修正修正版が公開されている／一部の版・製品だけ公開
修正中影響ありとされ、修正版は準備中か未確認
修正予定なし／回避策のみサポート終了などで修正しないと明記／回避策だけが案内されている
調査中／影響なし／公表なし提供元が調査中／影響なしと公表／確認したページに告知がない
（製品更新）製品のファームウェアやパッケージを更新する
（PHP更新で対処）製品側の修正はなく、PHP本体を修正版（8.5.12・8.4.27・8.3.36・8.2.35など）にする
（提供元が対応済み）クラウドサービスなどで、利用者の作業はない
（移行が必要）修正が出ないため、新しい版や別の環境に移る

「修正済み」は修正版が出たという意味で、自分の機器に入っているとは限りません。また、Linuxディストリビューションなどは修正だけを取り込み、版番号を上げないことがあります。Ubuntu 24.04のphp8.3は「8.3.6」のまま修正版（8.3.6-0ubuntu0.24.04.13）が配られ、cPanelのea-php74／80／81やPleskの7.4.33／8.0.30／8.1.34も同じです。php -vではなく、パッケージの版とchangelogのCVEの記載で確かめてください。

出典は提供元の公式発表を優先し、本文を読めなかったものだけNCSC-NLの一覧（2026年10月27日15:17 中央ヨーロッパ時間の更新分）で補って「NCSC-NL」と書いています。

読者別：どこを見ればいいか

  • 家庭（NAS・ルーター）：「NAS」の表と「国内製品」。バッファローはWi-Fiルーター・中継機・スイッチを「影響なし」とし、個人向けNASの一部（LS520D／LS510D系）を確認中です。Raspberry PiのPi-hole v5やRaspAPは「ネットワーク管理・監視」の表です。
  • ブログ・小規模サイトの運営者：レンタルサーバーは各社の対応状況まとめへ。VPSは「OS」、cPanel・Pleskなどは「ホスティング管理パネル」（パネル本体とサイト用のPHPの両方を更新）、パソコンのXAMPP・MAMPは「コンテナ・開発環境」の表です。
  • 企業のIT担当：ファイアウォール・VPN、認証（ClearPass・Okta Access Gateway）、監視（Zabbix・Tenable・Trend Micro）、業務（Oracle・FileCloud・FreePBX）の順に確認します。多くの機器でPHPは管理画面で使われています。

区分ごとの影響と修正の状況

表は状況の順に並べ、「関係」に主な利用者の目安を書いています。「影響なし」の製品は後ろの別表です。

NAS

製品対象（版・条件）修正版・状況出典
ASUSTOR
ADM 4.1 / 4.2 / 4.3 の PHP
関係：家庭		PHP 8.3 の修正前ビルド【修正済み（製品更新）】（2026-10-23 時点）
PHP 8.3 → 8.3.36.r3 以上
確認：App Central		asustor.com
ASUSTOR
ADM 5.0 / 5.1 の PHP
関係：家庭		PHP 8.3 / 8.4 の修正前ビルド【修正済み（製品更新）】（2026-10-23 時点）
PHP 8.3 → 8.3.36.r124 以上、PHP 8.4 → 8.4.27.r106 以上
確認：ADM の App Central で PHP を更新		asustor.com
Lime Technology
Unraid OS（WebGUI の PHP）
関係：家庭／個人・小規模		Unraid OS 7.3.3 以前【修正済み（製品更新）】（2026-10-23 時点）
Unraid OS 7.3.4（PHP 8.4.27 を同梱）
Docker／VM 内の PHP は別途更新が必要（NCSC-NL 注記）
確認：WebGUI の Tools > Update OS		forums.unraid.net
NetApp
ONTAP 9
関係：企業		CVE-2026-109618 のみ影響（CVE-2026-109619 は影響なし）【修正済み（製品更新）】（2026-10-26 時点）
9.15.1P20HF1 / 9.16.1P16HF1 / 9.17.1P11HF1 / 9.18.1P8HF1 / 9.19.1P3HF1
未修正版での悪用は PHP jail 内の www ユーザーの権限に限られる（NCSC-NL の要約）		NCSC-NL
QNAP
QTS（内蔵PHP）
関係：家庭／個人・小規模		QTS 6.1.0、QTS 5.2.11 以前【修正済み（製品更新）】（2026-10-24 時点）
QTS 6.1.0.3656 build 20261023 / QTS 5.2.11.3661 build 20261023（QSA-26-18 V1.1・2026-10-24 に Resolved）
修正までの緩和策として、ポート転送・UPnP・myQNAPcloud の転送の無効化、遠隔からは VPN 経由、管理ポート（既定 8080／443）を信頼できる範囲に限定するよう案内。Container Station 内や他社アプリの PHP は QNAP の更新対象外
確認：コントロールパネル > システム > ファームウェア更新 >「ライブアップデート」で更新を確認（または Download Center から手動更新）		qnap.com
QNAP
QVR Surveillance
関係：家庭／個人・小規模		3.0.3 以前（ARM32 機種）【修正済み（製品更新）】（2026-10-28 時点）
3.0.3.1756
QNAP の表で Resolved（改訂履歴には日付の記載なし。2026-10-28 10:42 に再確認）
確認：QNAP Download Center から機種別パッケージを取得		qnap.com
QNAP
QuTS hero（内蔵PHP）
関係：家庭／個人・小規模		QuTS hero h6.1.0、h6.0.x、h5.2.11 以前【修正済み（製品更新）】（2026-10-24 時点）
h6.1.0.3656 / h6.0.2.3656（各 build 20261023）、h5.2.11.3661 build 20261023
QTS と同じ緩和策を案内
確認：コントロールパネル > システム > ファームウェア更新		qnap.com
QNAP
QuTScloud
関係：家庭／個人・小規模／企業		QuTScloud c5.2.9 以前【修正済み（製品更新）】（2026-10-24 時点）
c5.2.9.3661 build 20261023
クラウド上で動く仮想 NAS
確認：コントロールパネル > システム > ファームウェア更新		qnap.com
QNAP
TVR OS
関係：家庭／個人・小規模／企業		1.0.4 以前【修正済み（製品更新）】（2026-10-28 時点）
1.0.5
QNAP の表で Resolved（改訂履歴には日付の記載なし。2026-10-28 10:42 に再確認）
確認：QNAP Download Center から機種別ファームウェアを取得		qnap.com
Synology
Mail Station
関係：家庭／個人・小規模		修正前の版【修正済み（製品更新）】（2026-10-26 時点）
30000002.3.19-20333 以上
PHP の更新とは別に、パッケージセンターから手動で更新が必要
確認：パッケージセンター（手動で更新）		synology.com
Synology
PHP パッケージ（7.4 / 8.0 / 8.1 / 8.2 / 8.3 / 8.4）
関係：家庭／個人・小規模		各ブランチの修正前ビルド（DSM 7.4・7.3・7.2）【修正済み（製品更新）】（2026-10-26 時点）
PHP 7.4 → 7.4.33-0131 以上、8.0 → 8.0.30-0122 以上、8.1 → 8.1.34-0120 以上、8.2 → 8.2.35-0171 以上、8.3 → 8.3.36-0051 以上、8.4 → 8.4.27-0051 以上
PHP に依存するパッケージ（Calendar、Web Station、WordPress、phpMyAdmin など）を動かしている環境が対象。PHP の更新後、依存パッケージは自動で再起動。DSM 7.2 未満は対象パッケージの一時無効化を推奨
確認：DSM のパッケージセンターで PHP パッケージを更新		synology.com
Synology
Synology Calendar
関係：家庭／個人・小規模		修正前の版【修正済み（製品更新）】（2026-10-26 時点）
3.0.4-21435 以上
確認：パッケージセンター		synology.com
TerraMaster
TOS（Web Server / PHP）
関係：家庭／個人・小規模		TOS 5 / TOS 6（NCSC-NL 記載）【一部修正（移行が必要）】（2026-10-27 時点）
TOS 7 へ移行し、App Center の修正済み PHP パッケージを入れる（TOS 6 のまま直す方法は示されていない）
直し方：TOS 7 へ移行
TerraMaster サポートの説明（NCSC-NL 経由）
確認：TOS 7 の App Center		NCSC-NL（元の告知：forum.terra-master.com）
QNAP
Notes Station 3
関係：家庭／個人・小規模		3.9.14 以前【修正中（製品更新）】（2026-10-24 時点）
未公表（Fixing）
修正までは App Center での停止を検討（QNAP の緩和策）
確認：QTS / QuTS hero の App Center でアプリを検索して「更新」		qnap.com
QNAP
QNE（ADRA）
関係：家庭／個人・小規模／企業		1.0.7 以前【修正中（製品更新）】（2026-10-24 時点）
未公表（Fixing）
確認：QNAP Download Center から機種別ファームウェアを取得し、製品ガイドに従う		qnap.com
Synology
DSM 内蔵の PHP コンポーネント
関係：家庭		DSM のシステム内部用 PHP【修正中（製品更新）】（2026-10-22 時点）
後続の DSM リリースで修正予定（版数未公表）
Synology は「外部からアクセスできるモジュールを含まず、リスクは最小」と評価。脆弱性スキャンへの対応などのため後続の DSM で修正予定
確認：DSM の「コントロールパネル > 更新と復元」		synology.com
ASUSTOR
PHP 7 / 7.3 / 7.4 / 8.1 パッケージ
関係：家庭		全版【修正予定なし（移行が必要）】（2026-10-22 時点）
提供なし（App Central から即時削除）
直し方：PHP 8.3 以降のパッケージへ移行
App Central から削除。PHP 8.3 以降だけを使うよう案内
確認：App Central		asustor.com
Synology
PHP 7.3 パッケージ
関係：家庭／個人・小規模		PHP 7.3（全版）【修正予定なし（移行が必要）】（2026-10-26 時点）
提供なし（サポート終了のため修正しない）
直し方：7.4 以降の修正済みパッケージへ移行
Synology は「No fix will be provided as this version has reached end of life.」と明記
確認：DSM のパッケージセンター / Web Station の PHP プロファイル		synology.com
ASUSTOR
ADM 3.5 / 4.0
関係：家庭		全版【回避策のみ】（2026-10-23 時点）
修正版の記載なし
ASUSTOR は Web Server を無効化し、旧 PHP（7／7.3／7.4／8.1）を削除するよう案内
確認：ADM の Web Center		asustor.com
NextcloudPi project
NextcloudPi
関係：家庭／個人・小規模		調査中（NCSC-NL）【調査中】（2026-10-21 時点）
PHP 8.1 を含む		NCSC-NL
QNAP
QuMagie
関係：家庭		2.10.1 以前（NCSC-NL の記載）【調査中】（2026-10-22 時点）
未公表
QNAP の QSA-26-18 の対象一覧・表には記載なし（2026-10-28 10:42 に再確認）。NCSC-NL は同勧告を根拠に影響ありとしている		NCSC-NL
XigmaNAS project
XigmaNAS
関係：家庭／個人・小規模		調査中（NCSC-NL）【調査中】（2026-10-21 時点）NCSC-NL
openmediavault
openmediavault（Web GUI の PHP-FPM）
関係：家庭／個人・小規模		調査中（NCSC-NL）【調査中】（2026-10-21 時点）
Web GUI 用の PHP-FPM を確認、CVE への該当は不明		NCSC-NL
UGREEN
UGOS / UGOS Pro
関係：家庭		不明【公表なし】（2026-10-28 時点）
不明
公式サイトのセキュリティ情報を取得できず、告知の有無を確認できていない（2026-10-28）		nas.ugreen.com（確認したページ）

関係する人：家庭と個人・小規模の事業者です。QNAP・Synology・ASUSTORはOSとは別にPHPやアプリのパッケージの更新が必要です。

ファイアウォール・VPN

製品対象（版・条件）修正版・状況出典
Check Point
Force／Cloud Firewall（Security Gateway。Maestro・ElasticXL・VSX を含む）
関係：企業		次の機能のいずれかを使う場合のみ: Mobile Access Portal、Remote Access VPN の SSL Network Extender、SAML Realm 認証を有効にした Remote Access VPN、Identity Awareness の Captive Portal、UserCheck Portal。版: R81.20、R82、R82.10、R82.20（サポート中）、R80〜R81.10（サポート終了）【修正済み（製品更新）】（2026-10-27 時点）
R82.20／R82.10／R82／R81.20 向けホットフィックス（2026-10-23 18:30 GMT 公開。R81.20 版は 2026-10-27 09:30 GMT に差し替え）。Jumbo Hotfix への取り込みは 2026-11-11 予定
適用には再起動が必要で、先に入れた緩和設定は削除してから適用。R81.20 の旧ホットフィックスを入れた場合は新版を入れ直す。サポート終了版（R80〜R81.10）の修正は記載なし		support.checkpoint.com
Check Point
Quantum Spark ファイアウォール（ローカル管理／集中管理）
関係：個人・小規模／企業		Force と同じ機能条件（Mobile Access Portal と SSL Network Extender は Spark には無い）。R81.10.x、R82.00.x（サポート中）、R77.20.x、R80.20.x（サポート終了）【修正済み（製品更新）】（2026-10-27 時点）
R82.00.11（Build 998002823）、R81.10.17（Build 996004992）向けホットフィックス
サポート終了の R77.20.x／R80.20.x 向けの修正は記載なし		support.checkpoint.com
Citrix（Cloud Software Group）
NetScaler ADC FIPS／NDcPP 版
関係：企業		CTX697263 で Impacted（NetScaler ADC と同じ）【修正済み（製品更新）】（2026-10-27 時点）
14.1-FIPS 14.1-73.49 FIPS 以降、13.1-FIPS／13.1-NDcPP 13.1.37.286 以降		support.citrix.com
Citrix（Cloud Software Group）
NetScaler ADC／NetScaler Gateway
関係：企業		サポート中の全版（CTX697263 で Impacted）。PHP を使う管理画面（NSIP、管理を有効にした SNIP、Cluster IP の GUI）が対象（NCSC-NL の説明）【修正済み（製品更新）】（2026-10-27 時点）
14.1-73.49 以降、13.1-64.32 以降
2026-10-27 の更新で修正版を追記		support.citrix.com
Deciso
OPNsense（Community Edition／Business Edition）
関係：家庭／個人・小規模／企業		Web GUI／API と Captive Portal【修正済み（製品更新）】（2026-10-21 時点）
ホットフィックス: Community 26.7.7（PHP 8.5.12）、Community 26.1.11（PHP 8.3.36）、Business 26.4.2p4（PHP 8.3.36）
Captive Portal の利用者は更新後にサービスを再起動		forum.opnsense.org
F5
BIG-IP APM（アクセスプロファイル＝データプレーン）
関係：企業		APM のアクセスプロファイル（ログオンページなど）（K000163821。NCSC-NL 経由）【修正済み（製品更新）】（2026-10-24 時点）
BIG-IP 17.1.3.7、17.5.1.11、21.1.0.4		techdocs.f5.com
F5
BIG-IP（全モジュールの Configuration utility＝管理画面）
関係：企業		全モジュールの管理画面（Configuration utility）。17.1.3.7／17.5.1.11／21.1.0.4 より前（影響範囲は K000163821。NCSC-NL 経由）【修正済み（製品更新）】（2026-10-24 時点）
BIG-IP 17.1.3.7、17.5.1.11、21.1.0.4（各リリースノートの更新日 2026-10-24）
3つの版とも新しい変更は PHP の脆弱性の修正のみ		techdocs.f5.com
Fortinet
FortiClient Cloud Services（forticlient-forensics-dev／us／eu／ap.forticloud.com）
関係：企業		ベンダー側のクラウドサービス【修正済み（提供元が対応済み）】（2026-10-27 時点）
Fortinet が修正済み（利用者の作業なし）		fortiguard.fortinet.com
Netgate
pfSense Plus／pfSense CE
関係：家庭／個人・小規模／企業		PHP の Web GUI か Captive Portal に攻撃者が届く場合。既定では GUI は LAN のみ、Captive Portal は無効【修正済み（製品更新）】（2026-10-21 時点）
PHP パッケージ更新: pfSense Plus 26.07／26.03.1 と CE 2.9.0 は PHP 8.5.12、CE 2.8.1 は PHP 8.3.36（2026-10-21 公開）
GUI からは更新できず、SSH かコンソールで pfSense-upgrade -c と pkg upgrade を実行し、WireGuard パッケージを入れ直してから再起動		netgate.com
Palo Alto Networks
PAN-OS（PA-Series／VM-Series ファイアウォール）
関係：企業		管理 Web インターフェース（HTTPS の Web UI と XML API）。管理プロファイルを付けたデータプレーンのインターフェースも対象。PAN-OS 12.2＜12.2.4-h1、12.1＜12.1.4-h13／12.1.7-h11／12.1.10-h3、11.2＜11.2.4-h23／11.2.7-h23／11.2.10-h16／11.2.13-h4／11.2.16-h1、11.1＜11.1.4-h38／11.1.6-h40／11.1.7-h12／11.1.10-h36／11.1.13-h16／11.1.16-h4、10.2＜10.2.7-h39／10.2.10-h42／10.2.13-h27／10.2.16-h12／10.2.18-h13。サポート切れの版も対象【一部修正（製品更新）】（2026-10-27 時点）
公開済み：12.2.4-h1、12.1.7-h11、11.2.10-h16、11.1.4-h38／11.1.6-h40／11.1.10-h36／11.1.13-h16／11.1.16-h4、10.2.13-h27／10.2.16-h12／10.2.18-h13。予定（勧告の ETA）：11.2.13-h4＝2026-10-27、11.2.16-h1＝2026-10-28、12.1.4-h13・11.2.7-h23・10.2.10-h42＝2026-10-29、12.1.10-h3・11.2.4-h23・11.1.7-h12・10.2.7-h39＝2026-10-30
2026-10-27 の更新で「インターネットに公開した管理インターフェースを狙う攻撃を確認」と明記。GlobalProtect のポータル／ゲートウェイと Captive Portal は影響なし。緩和策は管理アクセスを信頼できる内部 IP に限定すること		security.paloaltonetworks.com
Palo Alto Networks
Panorama（仮想／M-Series）
関係：企業		管理 Web インターフェース（勧告が Panorama〔仮想・M-Series〕も対象と明記）【一部修正（製品更新）】（2026-10-27 時点）
PAN-OS と同じホットフィックス系列（勧告の版表は PAN-OS の版で記載）		security.paloaltonetworks.com
Juniper Networks
Junos OS J-Web（EX スイッチ／SRX ファイアウォール）
関係：企業		Junos OS が CVE-2026-109618 に該当（Juniper の参照勧告 JSA112681。NCSC-NL 経由）【修正中】（2026-10-26 時点）
修正版の記載なし。SRX は 25.2R1 以降 PHP を使っていない
影響ありで修正版は未確認		NCSC-NL
Fortinet
調査中の製品（FortiDDoS、FortiSOAR、FortiSOAR PaaS）
関係：企業		調査中【調査中】（2026-10-27 時点）
未公表
FG-IR-26-186（2026-10-27 更新）		fortiguard.fortinet.com
m0n0wall project
m0n0wall（開発終了の旧ファイアウォール）
関係：家庭／個人・小規模		調査中（PHP-CGI の管理画面。NCSC-NL）【調査中（移行が必要）】（2026-10-21 時点）
なし（開発終了）
開発・リリースは終了しており修正は出ない		NCSC-NL

関係する人：主に企業です（pfSense・OPNsenseは家庭や小規模オフィスでも使われます）。更新までは管理画面へのアクセス元を絞ってください。

ネットワーク管理・監視

製品対象（版・条件）修正版・状況出典
Adiscon
LogAnalyzer（syslog 閲覧）
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Broadcom（Symantec）
Symantec Endpoint Protection Manager（SEPM）
関係：企業		影響あり（Broadcom 勧告 39404）【修正済み（製品更新）】（2026-10-22 時点）
修正ビルド 14.3.27716.10000／14.4.494.0000（NCSC-NL 掲載の値）
SEP エージェントと SES は影響なし		support.broadcom.com
Centreon
Centreon Web（中央サーバーの PHP 画面）
関係：企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Checkmk GmbH
Checkmk アプライアンス
関係：企業		1.7.25 より前（同梱 PHP 8.2.34）【修正済み（製品更新）】（2026-10-21 時点）
Checkmk Appliance 1.7.25（2026-10-21）。php8.2 系パッケージを 8.2.34→8.2.35 に更新		download.checkmk.com
Cisco
Expressway シリーズ／Expressway Select シリーズ
関係：企業		脆弱（CSCwx37062）。影響版の範囲は勧告に記載なし【修正済み（製品更新）】（2026-10-27 時点）
15.5.21（勧告の「Fixed Release Available」欄。日付の記載なし）
回避策あり（バグ ID CSCwx37062 の Workaround 欄）		sec.cloudapps.cisco.com
Icinga GmbH
Icinga Web
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
LibreNMS project
LibreNMS
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
MISP project／CIRCL
MISP（脅威情報共有）2.5
関係：企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
N-able
N-sight、Passportal、Mail Assure／Spam Experts、Take Control（セッションルーティング）
関係：個人・小規模／企業		ベンダーのクラウド基盤【修正済み（提供元が対応済み）】（2026-10-22 時点）
N-able が 2026-10-22 18:30 EDT までに全対象製品を対処
その他の N-able 製品は影響なし		n-able.com
Nagios Enterprises
Nagios Fusion
関係：企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Nagios Enterprises
Nagios XI（Web 設定ウィザード部分）
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Observium
Observium
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Pi-hole project
Pi-hole v5（旧版の PHP 管理画面）
関係：家庭／個人・小規模		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし
Pi-hole v6 は lighttpd／PHP の依存を廃止（NCSC-NL 注記）		NCSC-NL
Quest Software
KACE Systems Management Appliance（SMA）
関係：企業		影響あり。15.0 CU4、15.1 CU1 には修正なし【修正済み（製品更新）】（2026-10-26 時点）
15.0 CU5（15.0.378）、15.1 CU2（15.1.177）
KACE SDA は別製品で対象外		NCSC-NL
RaspAP project
RaspAP（Raspberry Pi の無線 AP 管理 GUI）
関係：家庭／個人・小規模		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Tenable
Tenable Enclave Security
関係：企業		Enclave Security 1.9.1 以前【修正済み（製品更新）】（2026-10-23 時点）
パッチ SC-202610.2（1.7.0／1.8.0／1.9.1 向け、PHP 8.2.35）。TNS-2026-31（2026-10-23）		tenable.com
Tenable
Tenable Security Center（旧 Tenable.sc）
関係：企業		Security Center 6.9.1 以前【修正済み（製品更新）】（2026-10-23 時点）
スタンドアロンパッチ SC-202610.2（6.6.0／6.7.2／6.8.0／6.9.1 向け、PHP 8.2.35）。TNS-2026-30（2026-10-23）		tenable.com
The Cacti Group
Cacti
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Ubiquiti
UISP CRM（UCRM）
関係：個人・小規模／企業		UISP Application の CRM モジュールが使う PHP【修正済み（製品更新）】（2026-10-27 時点）
UISP Application 3.1.70（2026-10-23）		NCSC-NL
Zabbix
Zabbix Web フロントエンド
関係：個人・小規模／企業		フロントエンドは PHP で動く（PHP は Zabbix のパッケージに含まれない）【修正済み（PHP更新で対処）】（2026-10-22 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし
インターネットに公開している環境を優先するよう推奨（Zabbix の声明 2026-10-22）		zabbix.com
phpIPAM project
phpIPAM（IP アドレス管理）
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Broadcom（Carbon Black）
Carbon Black App Control Server
関係：企業		影響あり（Broadcom 勧告 39404）【修正中（製品更新）】（2026-10-22 時点）
修正版は個別勧告 39411 に記載（版は未確認）
App Control Agent は影響なし		support.broadcom.com
Broadcom（Symantec）
CloudSOC SpanVA アプライアンス
関係：企業		影響あり（Broadcom 勧告 39404）【修正中（製品更新）】（2026-10-23 時点）
修正版は個別勧告 39429 に記載（版は未確認）
CloudSOC CASB 本体は影響なし		support.broadcom.com
Cisco
Ultra-Reliable Wireless Backhaul（URWB）／Unified Industrial Wireless Software
関係：企業		脆弱（CSCwx37073）。URWB は管理者として認証済みの攻撃者が必要（CVSS 6.6 に低減）【修正中（製品更新）】（2026-10-27 時点）
27.1.1（2027年3月予定。Cisco の見込み）
URWB は管理者として認証済みの攻撃者が必要。回避策あり		sec.cloudapps.cisco.com
Trend Micro（TrendAI）
Apex One（オンプレミスサーバー）／Apex Central
関係：企業		影響あり【修正中（製品更新）】（2026-10-27 時点）
Critical Patch を 2026-11-11 に予定（ETA）。暫定の緩和策は KA-0024815
管理サーバー／コンソールへのアクセスを信頼できる IP に限定するよう推奨。Apex One as a Service は 2026-10-23 の緊急メンテナンスで対処済み		success.trendmicro.com
Trend Micro（TrendAI）
Deep Discovery Inspector／Analyzer／Email Inspector（Vision One Network Detection and Response）
関係：企業		影響あり【修正中（製品更新）】（2026-10-27 時点）
Critical Patch を 2026-10-30 に予定（ETA）		success.trendmicro.com
Trend Micro（TrendAI）
Trend Micro Web Security（TMWS）
関係：企業		影響あり【修正中】（2026-10-27 時点）
緩和策を開発中		success.trendmicro.com
Broadcom（Symantec）
Content Analysis and Malware Analysis（CASMA）
関係：企業		調査中（2026-10-26 10:00 PT 追加）【調査中】（2026-10-26 時点）
未公表
Content Analysis（CAS）単体は影響なし		support.broadcom.com
Cachet project
Cachet（ステータスページ）
関係：個人・小規模／企業		調査中（NCSC-NL）【調査中】（2026-10-21 時点）NCSC-NL
EfficientIP
EfficientIP DNS／ネットワーク自動化製品
関係：企業		調査中（NCSC-NL）【調査中】（2026-10-22 時点）
提供元の公式情報はなし		NCSC-NL
Icinga GmbH
Icinga Web のモジュール（Icinga DB Web、Director、Reporting、Certificate Monitoring、PDF Export）
関係：個人・小規模／企業		調査中（NCSC-NL）【調査中】（2026-10-21 時点）NCSC-NL
SonicWall
スイッチ、SonicWave アクセスポイント
関係：個人・小規模／企業		調査中（2026-10-22 に一度「影響なし」の一覧に入り、同日削除）【調査中】（2026-10-27 時点）
未公表		sonicwall.com
ZoneMinder project
ZoneMinder（監視カメラ録画の Web／API）
関係：家庭／個人・小規模		調査中（NCSC-NL）【調査中】（2026-10-21 時点）NCSC-NL

関係する人：企業と小規模の管理者です。Zabbix・Nagios・Cactiなどは製品側の修正がなく、サーバーのPHPを更新します。

認証・管理

製品対象（版・条件）修正版・状況出典
Adminer project
Adminer
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Cisco（Duo）
Duo Access Gateway（Windows 版、オンプレミス）
関係：企業		DAG 3.1.0 以前（PHP 8.3.36 未満を許容）【修正済み（製品更新）】（2026-10-21 時点）
Duo Access Gateway 3.2.0（2026-10-21）。PHP の最低版を 8.3.33→8.3.36 に引き上げ。3.1.0／3.0.0 は単体の PHP 更新ツールで 8.3.36 にできる
DAG は Duo Federal 以外の顧客は 2023-10-26 でサポート終了		sec.cloudapps.cisco.com
FusionDirectory
FusionDirectory／FusionDirectory Orchestrator
関係：企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
HPE（Aruba Networking）
ClearPass Policy Manager
関係：企業		ClearPass 6.14.1 以下、6.11.16 以下（いずれも 2026-09-29 リリース版まで）。サポート終了版も影響ありとみなす【修正済み（製品更新）】（2026-10-24 時点）
6.14.1 と 6.11.16 向けの「Hotfix Patch to Address PHP Vulnerabilities」
ゲストポータルと管理画面を公開ネットワークから外すよう推奨		support.hpe.com
LDAP Account Manager project
LDAP Account Manager
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Okta
Okta Access Gateway（アプライアンス）
関係：企業		PHP 8.3.36 より前の 8.3.x を含む 2026.44.0 より前の版【修正済み（製品更新）】（2026-10-22 時点）
2026.44.0（PHP 8.3.36 を同梱）
既定の設定で既知の悪用は緩和されると記載		trust.okta.com
SimpleSAMLphp project
SimpleSAMLphp（SAML IdP／SP）
関係：企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
daloRADIUS project
daloRADIUS（RADIUS 管理画面）
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
phpLDAPadmin project
phpLDAPadmin
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
phpMyAdmin project
phpMyAdmin
関係：家庭／個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし
phpMyAdmin プロジェクトの公式の告知はなし（公式ニュースの最新は 2025-10-08。2026-10-28 確認）		NCSC-NL
phpPgAdmin project
phpPgAdmin
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
phpVirtualBox project
phpVirtualBox
関係：家庭／個人・小規模		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Cisco
Identity Services Engine（ISE）Portal Builder
関係：企業		脆弱【修正中（提供元が対応中）】（2026-10-27 時点）
「Offline for remediation」（修正のため停止中）
ISE 本体と ISE Passive Identity Connector は影響なし		sec.cloudapps.cisco.com

関係する人：企業の認証基盤の担当者と、phpMyAdmin・Adminerを置いているサイト運営者です。

業務・Oracle

製品対象（版・条件）修正版・状況出典
Cleo
Cleo Streem（Streem Print）
関係：企業		影響あり（PHP を含む製品）【修正済み（製品更新）】（2026-10-27 時点）
パッチをサポートからメールで配布（版の公表なし。NCSC-NL 経由）		NCSC-NL
Delta Controls
enteliCLOUD／Building Canvas（クラウド）
関係：企業		—【修正済み（提供元が対応済み）】（2026-10-22 時点）
ベンダーがパッチ適用済み（利用者の作業なし）		deltacontrols.com
Delta Controls
enteliWEB（ビル管理システム）
関係：企業		4.29 以降は未パッチの状態、4.28 以前は全版【修正済み（製品更新）】（2026-10-22 時点）
enteliWEB 4.29 以降向けセキュリティパッチ（SecB0015）。4.28 以前は先に 4.29 以降へ更新
パッチ適用まではインターネットから直接到達できないようにし、遠隔接続は VPN 経由に		deltacontrols.com
FileCloud
FileCloud Server（Windows／Linux）
関係：個人・小規模／企業		23.263.2 より前の全版【修正済み（製品更新）】（2026-10-21 時点）
FileCloud 23.263.2（PHP 8.4.27 同梱）
回避策・暫定の緩和策はないと記載。FileCloud Online は提供元が適用済み		docs.filecloud.com
FusionPBX project
FusionPBX（PBX 管理画面）
関係：個人・小規模／企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Oracle
Oracle Communications（Diameter Signaling Router 8.6.0／9.0.0、EAGLE Application Processor 17.0／17.1、EAGLE Element Management System 47.0、EAGLE LNP Application Processor 11.1、LSMS 14.0、Performance Intelligence Center 10.4／10.5、Unified Assurance 6.1.1〜7.0.0、User Data Repository 15.0）
関係：企業		左記の版（Security Alert の対象製品）【修正済み（製品更新）】（2026-10-25 時点）
Security Alert のパッチ（製品ごとの Patch Availability Document、My Oracle Support）
サポート対象外の版は未検証だが、影響の可能性が高いと記載		oracle.com
Oracle
Oracle Secure Backup
関係：企業		19.1.0.0.0〜19.1.0.1.0（コンポーネント Oracle Secure Backup (PHP)、HTTP、認証不要で悪用可、CVSS 3.1 で 9.8）【修正済み（製品更新）】（2026-10-26 時点）
Security Alert のパッチ（Database の Patch Availability Document）
2026-10-26 の Rev2 で追加。認証不要で悪用可能（CVSS 3.1 で 9.8）		oracle.com
Oracle
Oracle Solaris 11
関係：企業		Solaris 11（Security Alert の対象製品）【修正済み（製品更新）】（2026-10-25 時点）
Security Alert のパッチ（Systems の Patch Availability Document）		oracle.com
Sangoma
FreePBX 17／PBXact 17
関係：個人・小規模／企業		影響あり【修正済み（製品更新）】（2026-10-23 時点）
通常のシステム更新手順で PHP のセキュリティ更新を適用（パッケージの版の明記なし）		community.freepbx.org
Teclib
GLPI（オンプレミス）
関係：個人・小規模／企業		GLPI の版に関係なく、未修正の PHP で動かしているサーバー【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし
GLPI Network Cloud は 2026-10-21 14:00 UTC 時点で全サーバー修正済み		glpi-project.org
iNextrix
ASTPP v7（VoIP 課金・管理）
関係：企業		影響を受ける PHP の上で動かしている場合（NCSC-NL の判定：Vulnerable）【修正済み（PHP更新で対処）】（2026-10-21 時点）
PHP 本体を修正版（8.2.35／8.3.36／8.4.27／8.5.12 以降、または配布元のバックポート版）に更新。製品側の修正はなし		NCSC-NL
Sangoma
FreePBX 16／PBXact 16 以前
関係：個人・小規模／企業		影響あり【一部修正（移行が必要）】（2026-10-23 時点）
修正済み PHP 7.4 を「テスト用」に提供。17 への移行（新規インストール＋バックアップ復元）を強く推奨
直し方：FreePBX／PBXact 17 へ移行
移行まで Web 管理画面を信頼できるネットワークに限定（リスクは残ると記載）		community.freepbx.org
Delta Controls
V4 IP コントローラー（Red5-PLUS／EDGE／ROOM、O3-EDGE／SENSE、eBMGR-2・eBCON-P（V4））
関係：企業		V4 の全版（4.18 LTS、4.21。O3 は 4.19 も）【修正中（製品更新）】（2026-10-22 時点）
ファームウェアのパッチを開発中（提供時に告知）
緩和策：内蔵 HTTPS サーバーの無効化（NP20001）、443/TCP の着信の遮断		deltacontrols.com
Sophos
MyUTM ポータル（SG UTM 向けライセンス管理のホスト型サービス）
関係：企業		影響のある PHP 版で稼働していた【修正中（提供元が対応中）】（2026-10-22 時点）
Sophos が 2026-10-21 にポータルを停止し更新中（復旧前）
悪用の証拠は現時点でないと記載		sophos.com
Issabel
Issabel 5（PBX）
関係：個人・小規模／企業		調査中（NCSC-NL）【調査中】（2026-10-21 時点）
PHP 7.4 を含む		NCSC-NL
VitalPBX
VitalPBX 4.0／VitXi
関係：個人・小規模／企業		調査中（NCSC-NL）【調査中】（2026-10-21 時点）
PHP 8.1／8.2 を採用		NCSC-NL

関係する人：主に企業です。Oracleの製品ごとのパッチの案内はMy Oracle Supportにあります。

ホスティング管理パネル

製品対象（版・条件）修正版・状況出典
CloudLinux
CloudLinux の alt-php / ea-php
関係：個人・小規模		alt-php 5.2〜8.5、ea-php52〜85 の修正前ビルド【修正済み（製品更新）】（2026-10-23 時点）
バックポート版（例：alt-php85 8.5.11-5、ea-php84 8.4.26-2.el8.cloudlinux.1）と、php.net と同じ版番号のビルド（alt-php82 8.2.35-1 など）
版番号が php.net より低くても修正済みのことがあるため changelog で確認。CloudLinux 6 は修正の範囲外。更新後は Apache／PHP-FPM を再起動
確認：rpm -q --changelog alt-php85-common | grep -E "CVE-2026-(109618|109619)"		cloudlinux.statuspage.io
Coolify
Coolify v4（セルフホスト型 PaaS）
関係：個人・小規模		すべての v4 版【修正済み（製品更新）】（2026-10-22 時点）
4.0.1 / 4.1.3 / 4.2.1 / 4.3.24 / 4.4.7（推奨は 4.4.7）
Coolify でデプロイした各アプリの PHP は別途更新が必要（NCSC-NL 注記）
確認：Coolify の設定画面のバージョン表示		GitHub（coollabsio）
CyberPanel
CyberPanel の LiteSpeed PHP（lsphp）
関係：個人・小規模		lsphp 8.2.34 / 8.3.35 / 8.4.26 / 8.5.11 など【修正済み（製品更新）】（2026-10-21 時点）
LiteSpeed 提供の 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（Ubuntu 26.04 では 8.x-1+resolute）
各 lsphp とパネル用のコピー（/usr/local/lscp/fcgi-bin/lsphp）を更新してワーカーを再起動。CyberPanel 本体の新版は不要
確認：実際の HTTP リクエストで PHP の版を確かめる（CLI の版だけでは不十分と公式）		cyberpanel.net
GetPageSpeed
GetPageSpeed の PHP バックポート（CentOS 7 / Ubuntu 18.04・20.04 / Debian 10）
関係：企業		EOL OS 上の PHP 5.6〜8.4【修正済み（製品更新）】（2026-10-27 時点）
例：EL7 8.4.27-3.el7、8.3.36-2.el7、7.4.33-35.el7、5.6.40-44.el7 など
EOL の OS 向けのサードパーティ・リポジトリ（NCSC-NL の要約）
確認：rpm -q php-cli		NCSC-NL（元の告知：getpagespeed.com）
Hestia Control Panel
HestiaCP のサイト用 PHP（Sury リポジトリ）
関係：個人・小規模		修正前の php*-fpm【修正済み（PHP更新で対処）】（2026-10-21 時点）
Sury（deb.sury.org / ppa:ondrej/php）の 5.6〜8.5 修正版
サイト用の PHP は Sury の修正で対処、パネル同梱の PHP は別（メンテナーの説明）
確認：apt-get --only-upgrade install "php*-fpm" のあと PHP-FPM を再起動		GitHub（hestiacp）
Hestia Control Panel
HestiaCP 本体の PHP（hestia-php）
関係：個人・小規模		修正前の hestia-php【修正済み（製品更新）】（2026-10-22 時点）
hestia-php の更新版（Ubuntu 22.04 以降・Debian 11 以降）
メンテナーが 2026-10-22 に公開を告知（パッケージの版数は記載なし）
確認：apt update && apt upgrade		GitHub（hestiacp）
Plesk
Plesk for Linux のホスティング用 PHP
関係：個人・小規模		8.2.34 / 8.3.35 / 8.4.26 以下など、Plesk 同梱の PHP【修正済み（製品更新）】（2026-10-21 時点）
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12。EOL の 7.4.33 / 8.0.30 / 8.1.34 は版番号が同じで、2026-10-21 のビルドに修正入り
PHP 5.6／7.2／7.3 は修正の範囲に含まれない
確認：/opt/plesk/php/8.3/bin/php -v の「built: Oct 21 2026」表示		support.plesk.com
Plesk
Plesk for Windows のホスティング用 PHP
関係：個人・小規模		8.2〜8.5 の修正前版【修正済み（製品更新）】（2026-10-21 時点）
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
Windows 版の 8.1 以前の修正は記載なし
確認：Plesk の PHP 設定画面		support.plesk.com
Plesk
Plesk 本体の PHP（sw-engine / plesk-engine）
関係：個人・小規模		Obsidian 18.0.80 Update 10 以下、18.0.81〜18.0.81 Update 3【修正済み（製品更新）】（2026-10-21 時点）
Plesk Obsidian 18.0.80 Update 11 / 18.0.81 Update 4
管理画面そのものが使う PHP。ホスティング用の PHP とは別に更新が必要
確認：Plesk のバージョン確認（KB「How to find version of Plesk installed on server」）		support.plesk.com
TuxCare（CloudLinux）
TuxCare ELS for PHP（EOL PHP の延長サポート）
関係：企業		ELS 対象の EOL PHP（例：CentOS 8.4 / 8.5 の 7.4、Ubuntu 16.04 の 7.0、18.04 の 7.2）【修正済み（製品更新）】（2026-10-22 時点）
ELS の修正パッケージ（2026-10-22 00:07 UTC までに公開）
有償の延長サポート
確認：rpm -q --changelog / dpkg の changelog で CVE を確かめる		cloudlinux.statuspage.io
WebPros（cPanel）
EasyApache 4 / MultiPHP（ea-php）
関係：個人・小規模		ea-php74〜ea-php85 の修正前ビルド【修正済み（製品更新）】（2026-10-21 時点）
EA4 25.91：ea-php82 8.2.35、ea-php83 8.3.36、ea-php84 8.4.27、ea-php85 8.5.12。ea-php74 / 80 / 81 は修正をバックポート
ea-php74／80／81 は版番号が変わらないため、changelog の CVE の記載で確認
確認：WHM の MultiPHP Manager / EasyApache 4、rpm -q --changelog ea-php84-php-cli		docs.cpanel.net
WebPros（cPanel）
cPanel & WHM の内部 PHP（cpanel-php84）
関係：個人・小規模		136.0.50 未満【修正済み（製品更新）】（2026-10-21 時点）
cPanel & WHM 136.0.50（cpanel-php84 を 8.4.27 に更新）
ホスティング用の EA4 の PHP とは別物で、両方の更新が必要
確認：WHM の Server Information、/usr/local/cpanel/cpanel -V		docs.cpanel.net
aaPanel
aaPanel の PHP（App Store）
関係：個人・小規模		PHP 8.2〜8.5 の修正前版【修正済み（製品更新）】（2026-10-21 時点）
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
公式フォーラムの告知（NCSC-NL の要約）。8.1 以前の修正は確認されていない
確認：App Store の一覧を更新し、入っている各 PHP を Update		NCSC-NL（元の告知：aapanel.com）
JBMC Software（DirectAdmin）
CustomBuild の PHP
関係：個人・小規模		CustomBuild の各 PHP【一部修正（製品更新）】（2026-10-21 時点）
PHP 8.2〜8.5 は最新版に更新、7.4／8.0／8.1 は修正パッチを追加（版番号に * 付き）。5.6〜7.3 は 2026-10-21 時点で未提供
DirectAdmin 本体は自動更新されるが、PHP の再ビルド（da build php）は手動。PHP 5.6〜7.3 は 2026-10-21 時点で未提供
確認：da build versions で「7.4.33*」のような * 付き表示を確かめる		forum.directadmin.com
ISPConfig
ISPConfig 3（パネルとサイト用 PHP）
関係：個人・小規模		未修正の PHP 上の ISPConfig 3.2 / 3.3【回避策のみ（PHP更新で対処）】（2026-10-28 時点）
パネルの修正版はなし（PHP はディストリビューションなどの修正版で対応）。緊急の回避策 ispconfig-multipart-guard を提供
直し方：OS の PHP を更新（パネルには回避策のみ）
guard は修正ではなく一時的な遮断。修正版 PHP を入れて全 PHP-FPM を再起動したら guard を off に		ispconfig.org
Virtualmin / Webmin
Virtualmin（サイト用 PHP の実行モード）
関係：個人・小規模		OS の PHP に依存【公表なし（PHP更新で対処）】（2026-10-28 時点）
直し方：OS の PHP を更新
サイト用の PHP は OS の PHP を使う。公式の告知は確認できず、NCSC-NL は調査中		virtualmin.com（確認したページ）

関係する人：VPSや専用サーバーでサイトを運営している人です。パネルの更新とサイト用のPHPの更新が別になっている製品が多くあります。

OS（Linuxディストリビューション・パッケージ）

製品対象（版・条件）修正版・状況出典
AlmaLinux
AlmaLinux 10 / 9 / 8
関係：企業		修正前の php パッケージ【修正済み（PHP更新で対処）】（2026-10-23 時点）
10：ALSA-2026:87070 / 87071、9：ALSA-2026:87072 / 87079 / 87151、8：ALSA-2026:87073 / 87080（2026-10-21）。EOL ストリームの独自修正：9 の php:8.1（ALSA-2026:A014）、8 の php:7.2 / 7.3 / 8.0（ALSA-2026:A011〜A013、2026-10-23）
RHEL が直さない EOL のストリーム（7.2／7.3／8.0／8.1）にも独自の修正を公開
確認：rpm -q php-cli（例：8 の php:7.4 は 7.4.33-8.module_el8.10.0+4321）		errata.almalinux.org
Alpine Linux
Alpine Linux（php82〜php85）
関係：企業		各ブランチの修正前版【修正済み（PHP更新で対処）】（2026-10-27 時点）
3.23：php83 8.3.36-r0 / php84 8.4.27-r0 / php85 8.5.12-r0、3.22：php82 8.2.35-r0 / php83 8.3.36-r0 / php84 8.4.27-r0、3.21：php82 8.2.35-r0 など
確認：apk info -v php84		raw.githubusercontent.com
Arch Linux
Arch Linux（php / php-legacy）
関係：個人・小規模		php 8.5.12 未満、php-legacy 8.3.36 未満【修正済み（PHP更新で対処）】（2026-10-21 時点）
php 8.5.12-1、php-legacy 8.3.36-1
Arch Linux の公式ニュースで告知
確認：pacman -Q php php-legacy		archlinux.org
Canonical
Ubuntu ESM（14.04 / 16.04 / 18.04 / 20.04）
関係：企業		php5 / php7.0 / php7.2 / php7.4【修正済み（PHP更新で対処）】（2026-10-21 時点）
USN-8948-2：14.04 5.5.9+dfsg-1ubuntu4.29+esm18、16.04 7.0.33-0ubuntu0.16.04.16+esm22、18.04 7.2.24-0ubuntu0.18.04.17+esm14、20.04 7.4.3-4ubuntu2.29+esm5
Ubuntu Pro（ESM）の契約が必要
確認：pro status で ESM が有効か確かめる		ubuntu.com
Canonical
Ubuntu（php8.1 / php8.3 / php8.5 など）
関係：企業		修正前の php パッケージ【修正済み（PHP更新で対処）】（2026-10-21 時点）
USN-8948-1：22.04 の php8.1 8.1.2-1ubuntu2.28、24.04 の php8.3 8.3.6-0ubuntu0.24.04.13、26.04 の php8.5 8.5.4-0ubuntu1.5、26.10 の php8.5 8.5.9-0ubuntu2.1
Ubuntu は版番号を上げずにバックポートするため、表示が「8.3.6」のままでも修正版のことがある。更新後に PHP-FPM／Apache を再起動
確認：apt update && apt upgrade のあと dpkg -l | grep php		ubuntu.com
Debian
Debian 12 bookworm（php8.2・LTS）
関係：企業		8.2.32-1~deb12u1 など【修正済み（PHP更新で対処）】（2026-10-21 時点）
8.2.35-1~deb12u1（DLA-4848-1）
確認：apt policy php8.2-fpm		security-tracker.debian.org
Debian
Debian 13 trixie（php8.4）
関係：企業		8.4.24-1~deb13u1 など【修正済み（PHP更新で対処）】（2026-10-21 時点）
8.4.27-1~deb13u1（DSA-6574-1）
確認：apt policy php8.4-fpm		security-tracker.debian.org
Fedora Project
Fedora（php）
関係：個人・小規模		修正前の php【修正済み（PHP更新で対処）】（2026-10-26 時点）
php-8.4.27-2.fc43、php-8.5.12-1.fc44 / fc45 / fc46
NCSC-NL の要約
確認：rpm -q php		NCSC-NL（元の告知：bugzilla.redhat.com）
FreeBSD Project
FreeBSD ports / packages（php82〜php85）
関係：企業		8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 未満【修正済み（PHP更新で対処）】（2026-10-22 時点）
php82 8.2.35、php83 8.3.36、php84 8.4.27、php85 8.5.12
VuXML に両 CVE と修正版の閾値を掲載
確認：pkg audit -F / pkg info php84		vuxml.org
Gentoo
Gentoo（dev-lang/php）
関係：個人・小規模		各スロットの修正前版【修正済み（PHP更新で対処）】（2026-10-21 時点）
dev-lang/php 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 以降（GLSA 202610-02）
GLSA 202610-02（NCSC-NL の要約）
確認：emerge -pv dev-lang/php		NCSC-NL（元の告知：security.gentoo.org）
Homebrew
Homebrew（macOS / Linux の php formula）
関係：個人・小規模		修正前の formula【修正済み（PHP更新で対処）】（2026-10-28 時点）
php 8.5.12、php@8.4 8.4.27、php@8.3 8.3.36、php@8.2 8.2.35
php@8.1 は 8.1.34 のまま（deprecated）で修正版はない（2026-10-28 確認）
確認：brew upgrade php のあと php -v		formulae.brew.sh
NEC
Linuxサービスセット（RHEL の php）
関係：企業		RHEL 10 / 9 / 8 の php【修正済み（PHP更新で対処）】（2026-10-22 時点）
Red Hat の修正版（RHSA-2026:87071 / 87151 / 87080）を案内
RHEL の利用者向けに Red Hat の修正を取り次ぐ案内で、NEC 製品そのものの影響情報ではない
確認：rpm -q php		jpn.nec.com
NixOS
Nixpkgs（php）
関係：個人・小規模		8.3.35 / 8.4.26 / 8.5.11 など【修正済み（PHP更新で対処）】（2026-10-21 時点）
8.3.36 / 8.4.27 / 8.5.12（PR #576853、2026-10-21 マージ）
修正は 8.3／8.4／8.5 で、8.2 は含まない
確認：チャネル更新後に再ビルドして php -v		GitHub（NixOS）
Rocky Enterprise Software Foundation
Rocky Linux 10 / 9 / 8
関係：企業		修正前の php パッケージ【修正済み（PHP更新で対処）】（2026-10-22 時点）
RLSA-2026:87070 / 87071（10）、87072 / 87079 / 87151（9）、87073 / 87080（8）
RHEL の修正を再ビルドして公開
確認：rpm -q php-cli		apollo.build.resf.org
SUSE
SUSE Linux Enterprise / openSUSE（php8）
関係：企業		修正前の php8【修正済み（PHP更新で対処）】（2026-10-21 時点）
SLE 15 SP4：8.0.30-150400.4.80.1、SP6：8.2.35-150600.3.39.1、SP7：8.3.36-150700.3.24.1、SLES 16.0：8.4.27-160000.1.1、Tumbleweed：8.5.12-1.1
確認：zypper info php8		suse.com
The PHP Group
PHP for Windows（php.net 公式バイナリ）
関係：個人・小規模		8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 未満【修正済み（PHP更新で対処）】（2026-10-26 時点）
8.5.12 / 8.4.27 / 8.3.36 / 8.2.35（2026-10-26 に Brotli の修正入りで再ビルドした 8.5.12-1 / 8.4.27-1 / 8.3.36-1 / 8.2.35-1）
2026-10-26 に Brotli の脆弱性（CVE-2026-111497）の修正を入れて再ビルド。8.1 以前は PHP プロジェクトからの更新なし（7.4／8.0／8.1 はソースの最小限のバックポートのみ）
確認：php -v（-1 は依存ライブラリ更新の再ビルドで、PHP 本体の版は同じ）		php.net
Amazon Web Services
Amazon Linux 2023 / Amazon Linux 2
関係：企業		AL2023 の php8.2〜8.5、AL2 Extras の php8.2【一部修正（PHP更新で対処）】（2026-10-22 時点）
AL2023：ALAS2023-2026-3301〜3304（php8.4 は 8.4.27-1.amzn2023.0.1）、AL2 Extras の php8.2：ALAS2PHP8.2-2026-015（2026-10-22）
AL2 の標準の php と AL2023 の php8.1 は「No Fix Planned」
確認：dnf check-update php8.4 / rpm -q php8.4		explore.alas.aws.amazon.com
Red Hat
RHEL 10 / 9 / 8（php）
関係：企業		修正前の php パッケージ【一部修正（PHP更新で対処）】（2026-10-26 時点）
RHEL 10：php 8.3.36-1.el10_2（RHSA-2026:87070）、php8.4 8.4.27-1.el10_2（RHSA-2026:87071）／RHEL 9：php:8.2（RHSA-2026:87072）、php:8.3（RHSA-2026:87079）、php 8.0.30-8.el9_8.1（RHSA-2026:87151）／RHEL 8：php:8.2（RHSA-2026:87073）、php:7.4（RHSA-2026:87080）
RHEL 9 の php:8.4 ストリームは「Affected」のまま（未修正）。延長サポート（EUS／AUS／SAP）向けは 2026-10-23〜10-26 に追加公開
確認：rpm -q php-cli / dnf module list php		access.redhat.com

関係する人：自分でサーバーを管理している人です。PHP-FPMやApacheを再起動するまで古いPHPが動き続けます。Windows版PHPの再ビルドの理由はHTTP2Shell（Brotliの脆弱性）の解説にあります。

クラウド

製品対象（版・条件）修正版・状況出典
Amazon Web Services
AWS Elastic Beanstalk（PHP プラットフォーム）
関係：企業		PHP 8.2〜8.5 の旧プラットフォーム版【修正済み（製品更新）】（2026-10-22 時点）
修正版 PHP を含むプラットフォーム版（AL2023 PHP 4.13.13。版数は NCSC-NL の記載）
直し方：プラットフォーム版の更新
マネージド更新を有効にしていれば次のメンテナンス時間に自動で適用、無効なら手動でプラットフォーム版を更新
確認：Elastic Beanstalk コンソールの環境の「プラットフォーム」欄		aws.amazon.com
Automattic
WordPress.com・WordPress VIP など Automattic のホスティング
関係：個人・小規模		—【修正済み（提供元が対応済み）】（2026-10-21 時点）
全ホストサイトを保護済み（利用者の操作不要）
セルフホストの WordPress は対象外（各自で PHP を更新）		automattic.com
Cloudways（DigitalOcean）
Cloudways（マネージドクラウド）
関係：個人・小規模		—【修正済み（提供元が対応済み）】（2026-10-22 時点）
稼働中の全サーバーに PHP の修正を適用
別の告知（2026-10-23〜）で、一部の公式 PHP パッチに回帰の報告があると案内		status.cloudways.com
Google Cloud
App Engine スタンダード環境（PHP 8.2 以降）
関係：企業		PHP 8.2 以降のランタイム【修正済み（提供元が対応済み）】（2026-10-28 時点）
自動で更新（操作不要）
PHP 8.1 以前のランタイムは修正されないため、8.2 以降に上げて再デプロイ		cloud.google.com
Heroku（Salesforce）
Heroku の PHP（buildpack）
関係：企業		修正前の PHP【修正済み（製品更新）】（2026-10-21 時点）
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（Heroku-22 の 8.1.34 は緊急バックポート入りで再ビルド）
直し方：再デプロイ
再デプロイしないと修正版にならない
確認：heroku run php -v		devcenter.heroku.com
Kinsta
Kinsta（マネージド WordPress）
関係：個人・小規模		—【修正済み（提供元が対応済み）】（2026-10-22 時点）
PHP 7.4〜8.5 の修正を全基盤に展開
利用者の操作は不要		status.kinsta.com
Laravel
Laravel Cloud
関係：企業		—【修正済み（提供元が対応済み）】（2026-10-21 時点）
稼働中の全アプリをその場で修正（再デプロイ不要）
新しいデプロイも修正済みのベースイメージを使う		laravel.com
Microsoft
Azure App Service on Linux（組み込み PHP）
関係：企業		8.2〜8.5 の旧イメージ【修正済み（提供元が対応済み）】（2026-10-21 時点）
8.2.35 / 8.3.36 / 8.4.27 / 8.5.12（Latest / Standard チャネルへの展開を 2026-10-21 に完了）
Extended チャネルは最後に適用されるため、Standard か Latest への切り替えを推奨
確認：App Service の「Platform Release Channel」と実行中の PHP 版		azure.github.io
Pantheon
Pantheon（マネージド PHP）
関係：企業		—【修正済み（提供元が対応済み）】（2026-10-22 時点）
本番・LTS・SFTP モード・有償の非本番環境に修正版を展開（LTS 版は上流ベンダーのバックポート）
無料／サンドボックス環境は 2026-10-21 時点で「今後 24〜48 時間で更新」		status.pantheon.io
Upsun（Platform.sh）
Upsun Cloud の PHP コンテナ
関係：企業		—【修正済み（提供元が対応済み）】（2026-10-23 時点）
PHP 7.2〜8.5 の全ランタイムイメージを修正（7.4 / 8.0 / 8.1 はバックポート）し、影響のある環境は自動で再デプロイ
7.2〜8.3 は非推奨のため 8.4 以降への移行を推奨		developer.upsun.com
WP Engine
WP Engine（マネージド WordPress）
関係：個人・小規模		—【修正済み（提供元が対応済み）】（2026-10-22 時点）
全顧客サイトが修正版 PHP で稼働
利用者の操作は不要		wpengine.com
Amazon Web Services
Amazon Lightsail（PHP 系ブループリント）
関係：個人・小規模		既存のインスタンス（PHP 系ブループリントから作成）【一部修正（移行が必要）】（2026-10-23 時点）
更新済みのブループリント（全リージョン）。稼働中のインスタンスはその場で更新できないため、新しいブループリントから作り直して移行
直し方：新しいブループリントで作り直す		aws.amazon.com
DigitalOcean
Droplets / App Platform / Functions / Marketplace 1-Click
関係：個人・小規模		利用者が管理する PHP、既存の 1-Click イメージ【一部修正（PHP更新で対処）】（2026-10-28 時点）
Functions の PHP 8.2〜8.5 ランタイムは修正済み（再デプロイが必要）、影響のある 1-Click イメージは修正まで掲載停止
直し方：Droplet などの PHP は利用者が更新
既存の Droplet やデプロイ済みの 1-Click（WordPress／LAMP／LEMP／Laravel など）は自動では更新されないため、利用者が PHP を更新		digitalocean.com
Google Cloud
App Engine フレキシブル環境
関係：企業		全 PHP 版【一部修正（製品更新）】（2026-10-28 時点）
サポート中のランタイムで再デプロイすると修正版
直し方：再デプロイ
自動では更新されない。カスタムランタイムは依存を修正版にして再デプロイ		cloud.google.com
Google Cloud
Cloud Run / Cloud Run functions / GKE
関係：企業		修正前の PHP を含むイメージ【一部修正（製品更新）】（2026-10-28 時点）
ベースイメージの自動更新を有効にしていれば自動、それ以外は再ビルドと再デプロイ
直し方：再ビルドと再デプロイ
GKE は利用者がイメージを更新して Pod を再デプロイ。PHP 5.5／7.2／7.3／7.4／8.1 のサポート外ランタイムは修正されない		cloud.google.com
Laravel
Laravel Vapor
関係：企業		PHP 8.2 以降のネイティブランタイム【一部修正（製品更新）】（2026-10-21 時点）
修正版ランタイムを公開済み
直し方：再デプロイ
利用者の再デプロイが必要。カスタム／Docker ランタイムは新規のビルドとデプロイが必要		laravel.com
Microsoft
Azure App Service on Windows（組み込み PHP）
関係：企業		組み込み PHP の全版（EOL）【修正予定なし（移行が必要）】（2026-10-21 時点）
提供予定なし（自前の PHP ランタイムを持ち込む必要）
直し方：Linux 版か自前の PHP ランタイムへ移行
Microsoft は「Windows の組み込み PHP は EOL で、現時点でセキュリティパッチの予定はない」と明記し、Linux への移行か自前のランタイムを案内。Azure Stack Hub 上の App Service も同じ扱い		azure.github.io

関係する人：クラウドでPHPのアプリを動かしている人です。提供元が直すサービスと、利用者の再デプロイが必要なサービスに分かれます。

コンテナ・開発環境

製品対象（版・条件）修正版・状況出典
Apache Friends
XAMPP for Windows
関係：個人・小規模		8.5.12 / 8.4.27 / 8.3.36 より前の XAMPP【修正済み（製品更新）】（2026-10-28 時点）
XAMPP for Windows 8.5.12 / 8.4.27 / 8.3.36
8.2 系の修正版インストーラーは掲載なし。macOS／Linux 版の修正版も掲載なし（2026-10-28 確認）
確認：XAMPP Control Panel / php -v		apachefriends.org
Bref
Bref（AWS Lambda 用の PHP レイヤー・Docker イメージ）
関係：企業		旧レイヤー版【修正済み（製品更新）】（2026-10-21 時点）
bref/bref 3.0.14 / 2.4.22（Bref 3 は php-85:21、php-84:24、php-83:24、php-82:26 など）、v2 の Docker タグ 2 / 2.3.45
composer update bref/bref -W のあと再デプロイ。Bref 1 は対象外
確認：composer show bref/bref、X-Powered-By ヘッダー		bref.sh
Docker Official Images
php（Docker Hub 公式イメージ）
関係：企業		8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 未満のタグ【修正済み（PHP更新で対処）】（2026-10-24 時点）
8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 のタグ（apache / fpm / cli / zts の各バリアント）
直し方：修正版のタグで取り直し・再ビルド
php:8.1 系のタグは 2026-01 以降更新されておらず、修正なし（EOL）。派生イメージは再ビルドが必要
確認：docker pull で取り直し、docker run --rm <image> php -v		GitHub（docker-library）
FrankenPHP
FrankenPHP（Docker イメージ・静的バイナリ）
関係：企業		1.13.2 未満【修正済み（製品更新）】（2026-10-21 時点）
1.13.2（Docker は PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12、静的バイナリは 8.5.12）
静的バイナリは PHP を内蔵するため、システムの PHP を更新しても直らない
確認：frankenphp version		GitHub（php）
MAMP
MAMP & MAMP PRO（Windows）
関係：個人・小規模		5.0.6 以前【修正済み（製品更新）】（2026-10-23 時点）
5.0.7（2026-10-23。PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 を追加）
古い PHP も同梱されたままのため、修正版の PHP を選び直す必要がある
確認：MAMP の PHP 設定で版を選ぶ		mamp.info
Server Side Up
serversideup/php の Docker イメージ
関係：企業		v5.0.2 未満【修正済み（製品更新）】（2026-10-28 時点）
v5.0.2（PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）
PHP 8.1.34 のイメージは未修正（NCSC-NL の要約）
確認：php -v		NCSC-NL（元の告知：GitHub（serversideup））
DDEV
DDEV（ローカル開発用の PHP コンテナ）
関係：個人・小規模		DDEV 1.25.4 の標準イメージ【一部修正（PHP更新で対処）】（2026-10-23 時点）
.ddev/web-build に Dockerfile を追加して再ビルドすると 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
直し方：Dockerfile を追加して再ビルド
標準イメージの修正版リリースは確認できず。公式ブログの手順（Dockerfile の追加）で再ビルド
確認：ddev php -v		ddev.com
Laragon
Laragon（Windows）
関係：個人・小規模		8.8.0 未満【一部修正（製品更新）】（2026-10-22 時点）
Laragon 8.8.0（2026-10-22。PHP 8.3 を 8.3.36 に更新）
リリースノートで更新されたのは PHP 8.3 だけ。8.4／8.5 などは利用者が追加・切り替える
確認：Laragon メニューの PHP バージョン		GitHub（leokhoa）
GMO プライム・ストラテジー
KUSANAGI Runs on Docker
関係：企業		—【調査中】（2026-10-27 時点）
Docker Hub のイメージを一時非公開（理由は「メンテナンス」とだけ記載）
PHP への対応との関係は明記されていない		kusanagi.tokyo
Lando
Lando の PHP サービス
関係：個人・小規模		不明【公表なし】（2026-10-28 時点）
不明
公式の告知は確認できず。NCSC-NL は調査中
確認：lando php -v		docs.lando.dev（確認したページ）
MAMP
MAMP & MAMP PRO（macOS）
関係：個人・小規模		7.4.4 以前（同梱 PHP は 8.3.30 / 8.4.17 / 8.5.2 など）【公表なし】（2026-10-28 時点）
未公開
最新は 7.4.4（2026-10-01）で、修正版の PHP を含むリリースはまだない（2026-10-28 確認）		mamp.info

関係する人：Dockerを使う開発者と、パソコンでWordPressなどを試している人です。コンテナはイメージを取り直すまで古いPHPのままです。

CMS・アプリ

製品対象（版・条件）修正版・状況出典
Nextcloud
Nextcloud All-in-One（AIO）
関係：個人・小規模		14.4.1 未満【修正済み（製品更新）】（2026-10-21 時点）
v14.4.1（2026-10-21。更新済みの PHP 依存を同梱）
AIO 以外（手動導入・Snap・NextcloudPi など）は各自の PHP 次第
確認：AIO の管理画面のバージョン表示		GitHub（nextcloud）
シックス・アパート
Movable Type クラウド版
関係：個人・小規模		—【修正済み（提供元が対応済み）】（2026-10-22 時点）
PHP を 8.3.36 に更新（2026-10-22 0:12）。CVE-2026-115560 も対応済み（2026-10-26 追記）
自動アップデートを無効にしている環境も更新対象。Movable Type 本体の版は変わらない		sixapart.jp
Adobe
Adobe Commerce / Magento Open Source
関係：企業		未修正の PHP 上の Magento【公表なし】（2026-10-28 時点）
Adobe の告知は確認できず（2026-10-28）		helpx.adobe.com（確認したページ）
Joomla
Joomla
関係：個人・小規模		未修正の PHP 上の Joomla【公表なし】（2026-10-28 時点）
公式のお知らせとセキュリティセンターに掲載なし（2026-10-28 確認）
確認：管理画面の システム > システム情報		joomla.org（確認したページ）
Laravel
Laravel（フレームワーク）
関係：企業		未修正の PHP 上のアプリ【公表なし】（2026-10-28 時点）
Laravel 公式の告知は Laravel Cloud／Vapor の対応だけで、フレームワークの利用者向けの告知は確認できず		laravel.com（確認したページ）
PortlandLabs
Concrete CMS
関係：個人・小規模		未修正の PHP 上の Concrete CMS【公表なし】（2026-10-28 時点）
プロジェクトのニュースに掲載なし（2026-10-28 確認）		concretecms.org（確認したページ）
Symfony
Symfony（フレームワーク）
関係：企業		未修正の PHP 上のアプリ【公表なし】（2026-10-28 時点）
公式ブログ（2026-10-22〜10-27 の掲載分）に告知なし		symfony.com（確認したページ）
Wikimedia
MediaWiki
関係：個人・小規模		未修正の PHP 上の MediaWiki【公表なし】（2026-10-28 時点）
mediawiki.org の News に掲載なし（2026-10-28 確認）		mediawiki.org（確認したページ）

関係する人：CMSやWebアプリを自分のサーバーで動かしている人です。表にないCMSも、PHPを修正版にする必要があるのは同じです。

国内製品

製品対象（版・条件）修正版・状況出典
GMO プライム・ストラテジー
KUSANAGI 9 / Enterprise Edition（kusanagi-php82〜85）
関係：企業		修正前の kusanagi-php モジュール【修正済み（製品更新）】（2026-10-25 時点）
kusanagi-php 8.2.35／8.3.36／8.4.27／8.5.12（-1 を 2026-10-22 に緊急公開、-2 を 2026-10-25 に公開して session.upload_progress.enabled の既定値を 0 に変更）
PHP 8.1 以前には修正を提供しない（2026-10-23 の告知）。-2 ではアップロード進捗の表示が動かなくなる
確認：kusanagi php で再起動、php -v		kusanagi.tokyo
さくらインターネット
さくらのクラウド
関係：企業		—【修正済み（提供元が対応済み）】（2026-10-23 時点）
必要な対応は完了（一部機能は提供停止中）
データベース アプライアンスの phpMyAdmin／phpPgAdmin／pgAdmin の機能は 2026-10-21 から提供停止（再開は未定）		sakura.ad.jp
バッファロー
Web サービス（WebAccess、LinkStation/TeraStation オンラインアップデート、バッファロー DDNS、キキNavi、FREESPOT 認証・管理 など）
関係：家庭		同社 Web システムの PHP【修正済み（提供元が対応済み）】（2026-10-27 時点）
PHP の修正を適用し順次再開
2026-10-22 0:30 から予防的に一時停止し、2026-10-27 時点で表のサービスはすべて「対応完了」。不正アクセスや情報漏えいは確認されていないと説明		buffalo.jp
バッファロー
個人向け NAS（LS520D / LS510D / LS520DG / LS510DG シリーズ）
関係：家庭		確認中【調査中】（2026-10-27 時点）buffalo.jp
バッファロー
法人向け NAS（LS520DNB / LS510DNB シリーズ）
関係：企業		確認中【調査中】（2026-10-27 時点）buffalo.jp

関係する人：国内メーカーのNASや国内のクラウドを使う人です。告知のないメーカーは「国内メーカーの公表状況」にあります。

「影響なし」と公表された製品

WordPress・Drupal・EC-CUBE・Movable Type（ソフトウェア版）・baserCMS・Moodle・Matomoの「影響なし」は、本体に直すものはないが、未修正のPHPの上では攻撃を受け得るという意味です（【影響なし（PHPの更新は必要）】と表示）。

製品区分公表の内容出典
Synology
Hyper Backup
関係：家庭		NAS【影響なし】（2026-10-26 時点）
2026-10-26 の改訂で「Not affected」として追加		synology.com
Synology
Synology Drive
関係：家庭		NAS【影響なし】（2026-10-22 時点）
Synology の声明に「Synology Drive は PHP2Shell の影響を受けません」と注記		synology.com
Cisco
機器・ソフト（Secure Firewall ASA／Threat Defense／Management Center、ISE、IOS／IOS XE／IOS XR／NX-OS、Catalyst 1300 スイッチ、Catalyst Center、Catalyst SD-WAN Manager／Controller／Validator、Meraki MX／MR／MS／MG／MT／MV、Email Security Appliance、Content Security Management Appliance、Nexus Dashboard、UCS、Meeting Server／Meeting Management ほか）
関係：家庭／個人・小規模／企業		ファイアウォール・VPN【影響なし】（2026-10-27 時点）
勧告に載っていない Cisco 製品は影響なしと明記		sec.cloudapps.cisco.com
Fortinet
製品（FortiOS＝FortiGate、FortiProxy、FortiManager／Cloud、FortiAnalyzer／Cloud、FortiGate Cloud、FortiWeb、FortiMail／Cloud／Workspace Security、FortiClient 各 OS／EMS／EMS Cloud、FortiADC／Manager、FortiSIEM、FortiMonitor、FortiPAM、FortiAuthenticator、FortiNAC／NAC-F、FortiSwitch、FortiAP、FortiExtender、FortiSASE、FortiSandbox／Cloud、FortiDeceptor、FortiEDR、FortiNDR／Cloud、FortiDLP、FortiPortal、FortiTester、FortiAppSec Cloud、FortiEndpoint、FortiDDoS-F、FortiCloud、FortiCare、FortiDAST、FortiDrive、Linksys 製品）
関係：家庭／個人・小規模／企業		ファイアウォール・VPN【影響なし】（2026-10-27 時点）
IPS シグネチャ（62657・62658）も公開		fortiguard.fortinet.com
Palo Alto Networks
製品（Cloud NGFW、Prisma Access、GlobalProtect App、Prisma Access Agent、Prisma SD-WAN ION／Controller／On-Prem Controller、Strata Cloud Manager、Cortex XDR Agent／Broker VM／XSIAM／XSOAR／Xpanse、Cortex Cloud、Prisma Cloud、Prisma AIRS AI Gateway、WildFire WF-500／WF-500-B、Bridgecrew ほか）
関係：家庭／個人・小規模／企業		ファイアウォール・VPN【影響なし】（2026-10-27 時点）
Cortex XCORE（SaaS）と WildFire Cloud は提供元が修正済み（利用者の作業なし）		security.paloaltonetworks.com
SonicWall
製品（SonicOS＝ファイアウォール、SMA 1000、Network Security Manager、MySonicWall、Email Security、Cloud Secure Edge、Unified Management、Wireless Network Manager）
関係：個人・小規模／企業		ファイアウォール・VPN【影響なし】（2026-10-27 時点）
「ポートフォリオ全体についての表明ではない」と注記。SMA 100 シリーズは一覧に記載なし		sonicwall.com
Sophos
Sophos 製品（Sophos Firewall、SG UTM ほか）
関係：個人・小規模／企業		ファイアウォール・VPN【影響なし】（2026-10-22 時点）
Sophos Firewall の IPS シグネチャを公開（2026-10-22）		sophos.com
WatchGuard
WatchGuard 製品（Firebox ほか全製品）
関係：個人・小規模／企業		ファイアウォール・VPN【影響なし】（2026-10-26 時点）
IPS シグネチャで検知・遮断（WGSA-2026-0032）		psirt.watchguard.com
Broadcom（Symantec／Carbon Black）
製品（Edge SWG（ProxySG）、Advanced Secure Gateway、ISG、Content Analysis（CAS）、Management Center、Reporter、SSL Visibility、Cloud SWG、CloudSOC CASB、DLP／DLP Cloud、SEP Agent／Mobile、SES、Symantec EDR、DCS、CSP、ICA、ITA、LiveUpdate Administrator、SPE／Console、SMSMSE、SPSS、TDAD、Web Isolation、ZTNA、Carbon Black Cloud 各種、EDR Server／Sensor、App Control Agent ほか）
関係：企業		ネットワーク管理・監視【影響なし】（2026-10-26 時点）support.broadcom.com
Check Point
Security Management Server／Log Server、Check Point Portal・SaaS
関係：企業		ネットワーク管理・監視【影響なし】（2026-10-27 時点）support.checkpoint.com
Citrix（Cloud Software Group）
製品（NetScaler Console、Citrix Virtual Apps and Desktops、StoreFront、Workspace App、Secure Access、Secure Private Access、Endpoint Management、Analytics、Observability、Provisioning、Session Remote Start、Endpoint Analysis、XenServer、Unicon eLux Scout）
関係：企業		ネットワーク管理・監視【影響なし】（2026-10-22 時点）
Citrix が管理するクラウドサービスは対処済み（利用者の作業不要）		support.citrix.com
Splunk（Cisco）
Splunk Enterprise／Cloud／Universal Forwarder／ES／ITSI／SOAR／UBA、AppDynamics、Cisco Secure Endpoint、Cisco XDR ほか
関係：企業		ネットワーク管理・監視【影響なし】（2026-10-26 時点）advisory.splunk.com
Trend Micro（TrendAI）
製品（IWSVA、Deep Discovery Director、TippingPoint／SMS、Deep Security・Server & Workload Protection、ScanMail、ServerProtect、Portal Protect、Cloud App Security、Email Security、Service Gateway、Container Security、File Security、USB Security ほか）
関係：企業		ネットワーク管理・監視【影響なし】（2026-10-27 時点）
全体の棚卸し・調査は継続中と記載		success.trendmicro.com
Cisco
クラウドサービス（Duo、Umbrella、Secure Access、Secure Connect、Meraki Dashboard、Webex 各種、Secure Email Cloud Gateway、Security Cloud Control、Multicloud Defense、ThousandEyes、Vulnerability Management、CX Cloud、Slido ほか）
関係：家庭／個人・小規模／企業		認証・管理【影響なし】（2026-10-27 時点）sec.cloudapps.cisco.com
Amazon Web Services
AWS Lambda（サービス側）
関係：企業		クラウド【影響なし（PHPの更新は必要）】（2026-10-23 時点）
AWS は「Lambda はマネージドの PHP ランタイムを提供していない」と明記（AWS 側の修正対象なし）。利用者が修正版の PHP で作り直して再デプロイ
Bref の利用者は Bref の告知を参照		aws.amazon.com
Render
Render（サービス側）
関係：個人・小規模		クラウド【影響なし（PHPの更新は必要）】（2026-10-22 時点）
Render 側に直す対象はなく、利用者がイメージ内の PHP を更新して再デプロイ（Render のアドバイザリ 2026-10-22）		render.com
Drupal
Drupal
関係：個人・小規模		CMS・アプリ【影響なし（PHPの更新は必要）】（2026-10-21 時点）
Drupal 側の修正はなし
本体に直すものはないが、未修正の PHP の上では攻撃を受け得る。サーバーの PHP の更新が必要。PHP の修正版への更新が唯一の完全な緩和策と説明		drupal.org
Matomo（InnoCraft）
Matomo On-Premise
関係：企業		CMS・アプリ【影響なし（PHPの更新は必要）】（2026-10-21 時点）
Matomo 側の修正はなし
本体に直すものはないが、未修正の PHP の上では攻撃を受け得る。サーバーの PHP の更新が必要。Matomo Cloud は保護済み		matomo.org
Moodle
Moodle（セルフホスト）
関係：企業		CMS・アプリ【影響なし（PHPの更新は必要）】（2026-10-22 時点）
Moodle 側の修正はなし
本体に直すものはないが、未修正の PHP の上では攻撃を受け得る。サーバーの PHP の更新が必要。Moodle HQ は予防的に自社の公開サイトを止め、修正後に再開		moodle.org
WordPress.org
WordPress（セルフホスト）
関係：個人・小規模		CMS・アプリ【影響なし（PHPの更新は必要）】（2026-10-21 時点）
WordPress 側の更新は不要・予定なし
本体に直すものはないが、未修正の PHP の上では攻撃を受け得る。サーバーの PHP の更新が必要。PHP 8.2 未満を自前で運用している場合はサーバーのオフラインも検討するよう案内		wordpress.org
baserCMS
baserCMS
関係：個人・小規模		CMS・アプリ【影響なし（PHPの更新は必要）】（2026-10-22 時点）
baserCMS の更新や設定変更は不要
本体に直すものはないが、未修正の PHP の上では攻撃を受け得る。サーバーの PHP の更新が必要		basercms.net
イーシーキューブ
EC-CUBE
関係：個人・小規模		CMS・アプリ【影響なし（PHPの更新は必要）】（2026-10-22 時点）
EC-CUBE 本体やプラグインの更新では直らない
本体に直すものはないが、未修正の PHP の上では攻撃を受け得る。サーバーの PHP の更新が必要。ec-cube.co は対応中で、メンテナンスの延長や一時停止があり得ると案内		ec-cube.net
シックス・アパート
Movable Type ソフトウェア版 / AMI 版（Advanced・Premium を含む）
関係：個人・小規模		CMS・アプリ【影響なし（PHPの更新は必要）】（2026-10-22 時点）
Movable Type 本体の更新は不要
本体に直すものはないが、未修正の PHP の上では攻撃を受け得る。サーバーの PHP の更新が必要（ダイナミックパブリッシングや一部プラグインで PHP を使う環境）		sixapart.jp
さくらインターネット
さくらの VPS
関係：個人・小規模		国内製品【影響なし（PHPの更新は必要）】（2026-10-23 時点）
さくら側は「サービス提供に関わる部分で PHP を使っていない」ため影響なし。VPS 内で動かす PHP は利用者が更新		sakura.ad.jp
バッファロー
Wi-Fi ルーター・中継機・スイッチなどの商品
関係：家庭／企業		国内製品【影響なし】（2026-10-27 時点）
同じお知らせ（2026-10-27 更新）で「影響なし」		buffalo.jp
バッファロー
個人向け NAS（LS720D / LS710D / LS720D/N / LS710D/N / LS220DN / LS210DN / LS220DG / LS210DG / LS411DX シリーズ）
関係：家庭		国内製品【影響なし】（2026-10-27 時点）
サポート期間内の商品だけが確認の対象（サポート終了品は対象外）		buffalo.jp
バッファロー
法人向け NAS（TeraStation TS3000 / TS5000 / TS6000 / TS7000 系、LS700DNB / LS200DNB 系、WS5000 / WS6000 / WSH5000 系）
関係：企業		国内製品【影響なし】（2026-10-27 時点）buffalo.jp

SonicWallは、影響なしの一覧が製品群全体についての表明ではないと注記しています。

国内メーカーの公表状況

バッファロー・さくらインターネット・GMOプライム・ストラテジー（KUSANAGI）・イーシーキューブ・シックス・アパート・baserCMSは告知を出しています（上の表）。次のメーカーは、確認したページに告知がありませんでした。

メーカー・製品確認した公式ページ状況確認日時
GMO インターネットグループ
GMO インターネットグループの製品・サービス（グループ全体の告知）		blog.flatt.tech【公表なし】
グループの公式サイトから GMO Flatt Security の解説記事にリンク（製品の影響の告知ではない）		2026年10月28日
GMOインターネット（ConoHa）
ConoHa VPS（基盤・OS イメージ）		conoha.jp【公表なし】
利用者向けの注意喚起（2026-10-22）：VPS 内の PHP を 8.5.12／8.4.27／8.3.36／8.2.35 以降へ更新、5.4〜8.1 はサポート中の版へ移行。基盤・OS イメージの扱いは記載なし		2026年10月28日
NEC
NEC グループ製品		jpn.nec.com【公表なし】
製品セキュリティ情報（日付順）の最新は 2026-08-21 で、PHP 関連の掲載なし（Linuxサービスセット向けの RHEL の php の案内は OS の表）		2026年10月28日
アイ・オー・データ
LAN DISK（NAS）		iodata.jp【公表なし】
「サポートからのお知らせ」一覧（最新は 2026-10-21 掲載分）に PHP 関連の掲載なし		2026年10月28日10:46（日本時間）
サイバーソリューションズ
CyberMail など		cybersolutions.co.jp【公表なし】
公開のお知らせ一覧（最新は 2026-10-26）に PHP 関連の掲載なし。会員向けのサポートページは未確認		2026年10月28日10:46（日本時間）
サイボウズ
Garoon / kintone / サイボウズ Office		cs.cybozu.co.jp【公表なし】
セキュリティ情報一覧の最新は 2026-07-31 で、PHP 関連の掲載なし		2026年10月28日10:46（日本時間）
ヤマハ
ヤマハのルーター / UTX / 無線 AP		rtpro.yamaha.co.jp【公表なし】
セキュリティ FAQ の一覧に PHP2Shell の項目なし		2026年10月28日10:46（日本時間）
富士通
富士通製品		global.fujitsu【公表なし】
公開脆弱性情報のページに PHP の掲載なし		2026年10月28日
日立製作所
日立のソフトウェア製品（JP1・HiRDB など）		hitachi.co.jp【公表なし】
ソフトウェア製品セキュリティ情報（2026-10-27 更新）に PHP 関連の掲載なし		2026年10月28日10:46（日本時間）

「公表なし」は影響がないという意味ではありません。会員向けのページだけで案内している場合もあるため、契約している製品はメーカーの窓口にも確認してください。

要注意：修正が出ない・まだ出ていないもの

製品状況とすること区分
ASUSTOR ADM 3.5／4.0修正版の記載なし。Web Server の無効化と旧 PHP の削除が案内されているNAS
QNAP Notes Station 3修正版は未公表（Fixing）。使っていなければ App Center で停止NAS
Synology の PHP 7.3 パッケージサポート終了のため修正なし。Web Station などで 7.4 以降の修正済みパッケージに切り替えるNAS
Palo Alto Networks PAN-OS一部のホットフィックスは 2026-10-29〜10-30 の予定（勧告の ETA）。それまでは管理画面へのアクセスを信頼できる内部 IP に限定ファイアウォール・VPN
Cisco URWB／Unified Industrial Wireless Software修正版 27.1.1 は 2027年3月の予定。それまでは回避策（バグ ID の記載）ネットワーク管理・監視
Trend Micro Apex One（オンプレミス）／Apex CentralCritical Patch は 2026-11-11 の予定。それまでは暫定の緩和策（KA-0024815）と管理画面のアクセス制限ネットワーク管理・監視
Delta Controls V4 IP コントローラーファームウェアのパッチは開発中。それまでは内蔵 HTTPS サーバーの無効化などの緩和策業務・Oracle
Amazon Linux 2 の標準の php と Amazon Linux 2023 の php8.1「No Fix Planned」。php8.2 以降への移行が必要OS
Homebrew の php@8.18.1.34 のまま修正版なし。php@8.2 以降へ切り替えOS
RHEL 9 の php:8.4 ストリームRed Hat の CVE データで「Affected」のまま（2026-10-28 時点）。php:8.2／8.3 への切り替えか、修正の公開を待つOS
Azure App Service on Windows の組み込み PHP修正予定なし。Linux 版への移行か、自前の PHP ランタイムの持ち込みクラウド
XAMPPWindows 版の 8.5.12／8.4.27／8.3.36 は公開済み。8.2 系と macOS／Linux 版の修正版は掲載なし（2026-10-28 時点）コンテナ・開発環境
DDEV標準イメージの修正版は未確認。公式ブログの手順で Dockerfile を追加して再ビルドコンテナ・開発環境
Docker 公式イメージの php:8.1 系2026-01 以降更新されず修正なし。php:8.2 以降のタグで作り直すコンテナ・開発環境
MAMP（macOS）修正版の PHP を含むリリースはまだない（2026-10-28 時点）。Windows 版は 5.0.7 で対応コンテナ・開発環境
KUSANAGI の PHP 8.1 以前修正の提供なし。8.2 以降への移行か WAF による暫定対策国内製品

今やること

  • 1. 棚卸し：PHPを使う機器・ソフト・サービス（NAS、ルーターの管理画面、監視ツール、CMS、開発環境、コンテナ）を書き出します。
  • 2. 版の確認：表の「対象」と照らします。Linuxのパッケージはrpm -q --changelogやapt changelogでCVE番号を確かめます。
  • 3. 更新：【製品更新】は製品を、【PHP更新で対処】はPHP本体を修正版にします。
  • 4. 再起動・作り直し：PHP-FPMやApacheを再起動し、コンテナは修正版のイメージで作り直します。Herokuなどは再デプロイが必要です。
  • 5. 管理画面の外部公開を止める：QNAP・Palo Alto Networks・HPE・Delta Controlsは、管理画面を信頼できるネットワークやVPN経由に限るよう案内しています。
  • 6. ログの確認：修正版を入れる前の期間について、JPCERT/CCが挙げる痕跡（不自然に長い、または異常な形式のPHPSESSIDのCookie、不審なプロセス・外部通信・ファイルの作成）を確認します（JPCERT/CCの注意喚起）。

公式に書かれていないこと

  • QNAPのQuMagie：NCSC-NLはQNAPの勧告QSA-26-18を根拠に影響ありとしていますが、2026年10月28日10:42（日本時間）に確認した同勧告の対象一覧と表に記載はありません。
  • QNAPのQVR Surveillance・TVR OS：表では修正済みですが、修正済みになった日付は改訂履歴（V1.1・2026年10月24日まで）に書かれていません。
  • 予定日と非公開の資料：Palo Alto NetworksとTrend Microの予定日（ETA）は見込みです。Broadcomの個別勧告とOracleのPatch Availability Documentは、公開ページだけでは修正版の版を確かめられません。

よくある質問

WordPressを最新にすれば大丈夫ですか？

いいえ。WordPress.orgは、今回はPHPの問題でWordPressの更新は不要としています。直すにはサーバーのPHPを修正版にする必要があり、レンタルサーバーは契約先の告知で確認できます。

NASの版はどこで見ればいいですか？

QNAPはコントロールパネルの「システム」→「ファームウェア更新」、Synologyはパッケージセンター、ASUSTORはApp Central、UnraidはWebGUIの「Tools」→「Update OS」で確認できます。

「影響なし」の製品は何もしなくていいですか？

製品そのものの修正は要りません。ただしCMSは、動かしているPHPの更新が必要です。同じ会社の別の製品が影響を受けていることもあります。

NCSC-NLの一覧と違うのはなぜですか？

提供元の公式発表を優先しているためです。2026年10月27日の時点で、NCSC-NLの一覧はPalo Alto Networks・Citrix・Cisco Expresswayなどで提供元の最新の勧告より古い内容でした。

PHPの版番号が修正版より古いままです。修正されていないのですか？

版番号だけでは判断できません。Ubuntu・AlmaLinux・cPanel・Plesk・CloudLinuxなどは版番号を変えずに修正を取り込んでいます。changelogのCVE番号の記載で確認してください。

更新履歴

  • 2026年10月28日11:00（日本時間）：初版を公開
  • 2026年10月28日12:05（日本時間）：Palo Alto Networks（PAN-OS・Panorama）・Cisco（v1.8）・NCSC-NL の一覧（10月27日15:17 CET）を再確認。変化なし

参考（主要な一次資料）

セキュリティ
よかったらシェアしてね！
  • URLをコピーしました！
  • URLをコピーしました！

関連記事

コメント

コメントする

CAPTCHA


目次